Proposta de Regularização da LGPD

Por favor, leia o texto abaixo antes de prosseguir

Por um momento, reflita sobre sua organização e tente responder as perguntas abaixo com maior exatidão possível. As respostas representam parte dos critérios usados na estimativa das horas do projeto. Os dados pessoais coletados são seu nome, e-mail, telefone e IP (Internet Protocol) com a finalidade de contatá-lo(a) neste procedimento preliminar de elaboração de sua proposta. As informações permanecem armazenadas em nuvem (Survey Monkey), obedecendo as recomendações internacionais de boas práticas de segurança da informação, como política de segurança da informação, controle de acesso (autenticação, autorização e auditoria), proibição de compartilhamento ou transferência, autenticação multi fatores (MFA), dentre outras medidas técnicas e administrativas. Após um ano, suas respostas serão anonimizadas, ou seja, usamos ferramentas tecnológicas para retirar qualquer possibilidade de identificação das informações com seus dados pessoais. Todas as informações coletadas são tratadas de modo a garantir a preservação da confidencialidade, integridade e disponibilidade. Caso precise de mais informações relacionadas aos dados pessoais; por favor, entre em contato com nosso Encarregado de Dados (DPO) no e-mail dpo@mgpconsultoria.com.br. Em relação a seus dados pessoais, pode-se requerer (a) a confirmação do armazenamento, (b) acesso, (c) correção ou (d) eliminação das informações. Esperamos contar com vocês como um de nossos clientes. Agradecemos muito suas respostas. Muito obrigado!

Question Title

* 1. Qual é o nome da Organização?

Question Title

* 2. Qual é o seu nome completo?

Question Title

* 3. Informe seu e-mail.

Question Title

* 4. Informe seu telefone, com DDD.

Question Title

* 5. Indique o(s) ramo(s) de atividade da Organização.

Agronegócio

Comércio de alimentos (restaurante, açougue, mercado, padaria) e bebidas (bar, adega)

Comércio de ferragens

Concessionária de veículos

Farmácia ou drogaria

Hospital, Clínica de Saúde, Consultório médico (profissionais de saúde e serviços de saúde)

Indústria alimentícia

Indústria bélica

Indústria de eletrodomésticos

Indústria de equipamentos eletrônicos

Indústria de móveis

Indústria energética

Indústria madeireira

Indústria metalúrgica (fundição, tubos, siderurgia, maquinário, automóveis, peças)

Indústria mineradora

Indústria petroquímica

Indústria química

Indústria têxtil

Livraria

Loja de cosméticos

Lojas de departamentos, vestuários e itens esportivos

Loja de móveis, decoração e materiais de escritório

Operadora de plano de saúde

Pequeno produtor rural

Poder Público: Administração Pública Direta (União, Estado e Município) e Indireta (agência reguladora, autarquia, fundação, empresa pública e sociedade de economia mista)

Posto de gasolina

Serviços advocatícios

Serviços contábeis

Serviços de consultoria

Serviços de informática

Serviços de lavanderia

Serviços educacionais

Serviços informacionais (produção de softwares e sistemas)

Serviços odontológicos

Serviços psicológicos

Serviços veterinários

Supermercado ou hipermercados

Outro (especifique)

Question Title

* 6. A Organização realiza venda de produtos ou serviços online (e-commerce)?

sim

não

não sei

Question Title

* 7. Além da matriz, quantas filiais ou unidades existem na Organização? Por favor, escreva um número inteiro que indique as filiais ou unidades. Caso não possua nenhuma, coloque 0 (zero).

Question Title

* 8. Onde estão localizadas as filiais ou unidades da Organização?

NÃO existem filiais ou unidades

estão localizadas no mesmo Município da Matriz (Municipal)

estão localizadas em outros Municípios, mas no mesmo Estado da Federação (Estadual)

estão localizadas em outros Municípios, distribuídos em mais de um Estado da Federação (Nacional)

estão localizadas em outros países (Internacional)

Question Title

* 9. Quantos trabalhadores existem na Organização? Para responder, considere os celetistas, estatutários, autônomos, eventuais "pejotizados" e terceiros. Por favor, escreva um número inteiro que represente todas essas pessoas.

Question Title

* 10. Quantos cadastros de clientes, que possuam dados pessoais, existem na Organização? Considere que mesmo nos cadastros de clientes pessoais jurídicas existem campos com dados pessoais; portanto esses cadastros devem ser considerados. Caso não tenha o número exato, faça uma estimativa e não se preocupe, pois esse número poderá ser posteriormente ajustado. Por favor, escreva um número inteiro que represente o número de cadastros de clientes.

Question Title

* 11. Quantos fornecedores de produtos e/ou serviços a Organização possui? Caso não tenha o número exato, faça uma estimativa e não se preocupe, pois esse número poderá ser posteriormente ajustado. Por favor, escreva um número inteiro que represente o número de fornecedores.

Question Title

* 12. Indique abaixo apenas os setores e departamentos existentes internamente na Organização, ou seja, que não sejam terceirizados.

Administração

Almoxarifado

Análise e Revisão de Processos

Assessoria de Imprensa

Atendimento ao cliente

Biblioteca

Comercial

Comércio Exterior

Compliance

Compras

Contabilidade

Controladoria

Departamento Pessoal: gestão de folha de pagamento (obrigacões)

Diretoria ou Superintendência

Enfermaria e Medicina do Trabalho

Farmácia

Financeiro e Faturamento

Jurídico

Logística e Transporte

Marketing

Nutrição

Operacional, Suporte e/ou Produção

Qualidade ou Customer´s Experience

Recepção ou Portaria

Recursos Humanos: atração e seleção

Recursos Humanos: gestão de treinamento e desenvolvimento

Segurança, saúde e meio ambiente (SSMA ou HSE)

Tecnologia da Informação

Vendas

Outro (especifique)

Question Title

* 13. Indique abaixo apenas os setores e departamentos terceirizados pela Organização.

Administração

Almoxarifado

Análise e Revisão de Processos

Assessoria de Imprensa

Atendimento ao cliente

Biblioteca

Comercial

Comércio Exterior

Compliance

Compras

Contabilidade

Controladoria

Departamento Pessoal: gestão de folha de pagamento (obrigacões)

Diretoria ou Superintendência

Enfermaria e Medicina do Trabalho

Farmácia

Financeiro e Faturamento

Jurídico

Logística e Transporte

Marketing

Nutrição

Operacional, Suporte e/ou Produção

Qualidade ou Customer´s Experience

Recepção ou Portaria

Recursos Humanos: atração e seleção

Recursos Humanos: gestão de treinamento e desenvolvimento

Segurança, saúde e meio ambiente (SSMA ou HSE)

Tecnologia da Informação

Vendas

Outro (especifique)

Question Title

* 14. A realização das atividades da Organização é orientada por documentos? (indique mais de uma opção se necessário)

Política de consentimento

Política de BYOD (quando o colaborador leva seu próprio equipamento para o trabalho)

Política de privacidade

Política de uso de dispositivos móveis (notebooks, celulares, etc.)

Política de compliance

Políticas e protocolos de incidentes de segurança com dados pessoais

Orientações quanto ao home office

Orientações de boas práticas

Termos de uso de dispositivos e aplicações

Manuais de informação e orientação

Política de gerenciamento de senhas

Política de armazenamento e exclusão de dados

não sei se existem orientações escritas

Política de confidencialidade

NÃO existem orientações escritas

Outro (especifique)

Question Title

* 15. Numa escala de 1 a 5, quanto você considera que as orientações escritas em documentos são cumpridas?

não são cumpridas

são minimamente cumpridas

são medianamente cumpridas

são majoritariamente cumpridas

são integralmente cumpridas

não são cumpridas

são minimamente cumpridas

são medianamente cumpridas

são majoritariamente cumpridas

são integralmente cumpridas

Question Title

* 16. Considerando as atividades da Organização, há compartilhamento ou transferência de dados pessoais com outras pessoas, físicas ou jurídicas, públicas ou privadas, nacionais e internacionais? Lembre-se que compartilhar é comunicar, difundir ou transferir as informações de dados pessoais. (indique mais de uma opção se necessário)

NÃO compartilho ou transfiro dados pessoais que recebo

Compartilho apenas com as pessoas do meu setor ou departamento

Compartilho com alguns setores ou departamentos da Organização

Compartilho com toda Organização

Compartilho com pessoas externas à organização dentro do território nacional

Compartilho com pessoas externas à organização fora do território nacional (transferência internacional de dados)

Outro (especifique)

Question Title

* 17. Assinale as medidas administrativas de proteção aos dados pessoais adotadas pela Organização. (indique mais de uma opção se necessário)

Política de segurança da informação, contendo um conjunto de diretrizes e regras que tem por objetivo possibilitar o planejamento, a implementação e o controle de ações relacionadas à segurança da informação na organização.

Conscientização das pessoas da organização, consiste em treinamentos e campanhas sobre as obrigações e responsabilidades relacionadas ao tratamento de dados pessoais.

Termo de confidencialidade (non-disclosure agreement - NDA) assinados com os empregados da organização, ou terceiros, para que se comprometam a não divulgar informações confidenciais que envolvam dados pessoais.

Gerenciamento de contratos, envolvendo a adequação das cláusulas dos contratos de clientes e fornecedores como regras para fornecedores e parceiros, sobre compartilhamento, sobre as relações entre controlador-operador, além das vedações a tratamentos incompatíveis com as orientações do controlador.

Não adotamos nenhuma dessas medidas administrativas

Não sei.

Outro (especifique)

Question Title

* 18. Assinale as medidas técnicas de proteção aos dados pessoais adotadas pela Organização. (indique mais de uma opção se necessário)

Controle de acesso (processo de autenticação), consistente em medida para garantir que os dados sejam acessados somente por pessoas autorizadas.

Controle de acesso (processo de autorização), consistente em medida para determinar o que o usuário identificado pode fazer.

Controle de acesso (processo de auditoria), consistente em medida para registrar o que foi feito pelo usuário.

Controle de acesso com funcionalidade que permite detectar e não permitir o uso de senhas que não respeitem um certo nível de complexidade. (número de caracteres, definir se é necessário o uso de um caractere especial ou outros fatores).

Gerenciamento de senhas, na implementação de sistemas de segurança, para evitar o uso de senhas padrão disponibilizadas pelos fornecedores de software ou hardware adquiridos, com a alteração dessas senhas por requisitos mais seguros.

Proibição explícita de compartilhamento de contas ou de senhas entre empregados.

Aplicação do princípio do menor privilégio (need to know), em que os usuários terão o menor nível de acesso necessário para a realização de suas atividades.

Uso de autenticação multi-fatores (MFA) para acessar sistemas ou base de dados que contenham dados pessoais. Essa autenticação consiste em estabelecer a exigência ao usuário em fornecer duas formas de autenticação, como por exemplo, envio de códigos de segurança por short message service (SMS) ou por e-mail e o uso de aplicativos autenticadores ou tokens de segurança.

Uso de criptografia quando são tratados dados pessoais sensíveis no armazenamento dessas informações.

Coleta e processamento apenas dos dados pessoais que são realmente necessários para atingir os objetivos do tratamento para a finalidade pretendida.

Proibição de transferência de dados pessoais de estações de trabalho para dispositivos de armazenamento externo, como pendrives, discos rígidos externos, dentre outros.

Possibilidade de armazenamento externo, porém com adoção de controles adicionais, como inventariá-los, cifrar os dados e armazená-los em locais seguros.

Backups realizados regularmente de forma completa e armazenadas em locais seguros e distintos dos dispositivos de armazenamento principais.

Backup sem sincronia online (em tempo real), para evitar a perda de dados em casos de infecções por códigos maliciosos que sequestram os dados (ransomware).

Eliminação de dados pessoais em todas as mídias, diante da execução da formatação ou uso de softwares que evitam a recuperação dos dados apagados (WipeData).

Destruição física de mídias, como CDs e DVDs, que contenham dados pessoais.

Uso de serviço de terceiros para o descarte, de mídia ou registro de papel, diante de contrato assinado com cláusulas de registro da destruição que for realizada.

Uso de conexões cifradas (com uso de TLS/httpS) ou aplicativos com criptografia fim a fim. Isso se aplica também ao uso de e-mails, por exemplo, para envio de informações de funcionários como salários ou de prontuários.

Gerenciamento do tráfego de rede, por meio de um sistema de firewall, que monitore, detecte e bloqueie ameaças, impedindo conexões a redes não confiáveis.

Proteção dos serviços de e-mail, pelo uso de antivírus integrados, ferramentas anti-spam e filtros de e-mail.

Remoção de quaisquer dados sensíveis e outros dados pessoais que estejam desnecessariamente disponibilizados em redes públicas, por exemplo, o site da organização.

Monitoramento da existência de novas versões e correções disponíveis em todos os sistemas e aplicativos, com a manutenção de suas últimas versões e instalação de todas as correções de segurança disponíveis (patches), lançadas pelo desenvolvedor do sistema operacional e aplicativos.

Adoção e atualização de softwares antivírus ou antimalwares, que detectam, impedem e atuam na remoção de programas maliciosos, como vírus em computadores e laptops.

Realização de varreduras periódicas nos dispositivos, não sendo possível que o usuário desative ou altere essa funcionalidade.

Uso de smartphones e laptops, para fins institucionais, sujeitos a procedimento de controle como o uso da autenticação multi fator e guarda em local seguro quando não estiverem em uso.

Separação de dispositivos móveis de uso privado do uso institucional, pois os privados estão sujeitos a mais vulnerabilidades como por exemplo pelo uso de aplicativos potencialmente inseguros.

Proibição do uso de dispositivos móveis de uso privado para fins institucionais.

Implementação de funcionalidades que permitem apagar remotamente os dados pessoais relacionados à sua atividade de processamento nos dispositivos móveis (smartphones, laptops, notebooks, etc.)

No uso de serviços de computação em nuvem, são especificados os requisitos para o acesso do usuário a cada serviço em nuvem utilizado, bem como são usadas técnicas de autenticação multi fator, como por exemplo, aplicativos autenticadores ou SMS para acesso aos serviços em nuvem relacionados a dados pessoais.

Não adotamos nenhuma dessas medidas técnicas

não sei

Outro (especifique)

Question Title

* 19. Sob um aspecto geral, quantos treinamentos, envolvendo o cumprimento de obrigações, processos e boas práticas, foram realizados no último ano? Por favor, escreva um número inteiro.

Question Title

* 20. A LGPD exige a existência de um Encarregado de Dados ou DPO (Data Protection Officer), que age como canal de comunicação dos titulares dos dados e da Agência Nacional de Proteção de Dados (ANPD). Como pretendem cumprir essa obrigação?

já temos esse profissional e ele está capacitado para a função

já temos esse profissional, mas ele precisa de capacitação

não temos esse profissional, mas pretendemos desenvolver alguém interno para a função

não temos esse profissional, mas iremos buscar no mercado alguém capacitado

queremos terceirizar essa função

não sei